Cơ quan giám sát DHS cho biết TSA đã để nhà thầu âm thầm sao chép hình ảnh giấy phép lái xe và hộ chiếu của hành khách

Một báo cáo kiểm toán mới được công bố bởi Thanh tra Tổng hợp (IG) đã gây chấn động trong giới an ninh du lịch Mỹ vào thứ Sáu, ngày 18 tháng 9. Bản tóm tắt không phân loại, ngày 15 tháng 9 và được Biometric Update đưa tin đầu tiên, phát hiện rằng một nhà cung cấp hỗ trợ máy Công nghệ Xác thực Thẻ căn cước 2 (CAT-2) của TSA có thể – và đôi khi đã – trích xuất các bản quét độ phân giải cao của ảnh giấy phép lái xe và hộ chiếu của hành khách trong quá trình bảo trì và nâng cấp phần mềm, mà TSA không theo dõi hay xác nhận việc các bản sao này đã bị xóa sau đó. Thanh tra nhấn mạnh rằng các hoạt động kiểm tra thường xuyên vẫn xóa dữ liệu trong vài giây và không tìm thấy bằng chứng về việc sử dụng sai mục đích. Vấn đề phát sinh trong một “đường hầm dịch vụ” ít được biết đến, cho phép các nhà thầu khắc phục sự cố thiết bị từ xa. Vì TSA không có chính sách bằng văn bản giới hạn những gì nhà thầu có thể sao chép, cũng như không có nhật ký kiểm toán ghi lại thời điểm trích xuất, các điều tra viên kết luận đây là một “lỗ hổng nghiêm trọng” đặt hàng triệu danh tính hành khách vào nguy cơ tiềm tàng. Cơ quan giám sát đã đưa ra ba khuyến nghị: siết chặt ngôn ngữ hợp đồng, yêu cầu nhật ký truy cập chống giả mạo và tạo quy trình xác minh việc xóa bất kỳ hình ảnh nào được lấy ra để thử nghiệm hoặc sửa chữa. Tại sao điều này lại quan trọng với các nhà quản lý di chuyển toàn cầu và hành khách thường xuyên? Máy đọc CAT-2 là công cụ sinh trắc học chủ lực trong an ninh hàng không Mỹ: hơn 2.100 thiết bị đã được triển khai tại hơn 250 sân bay, và ngân sách TSA năm tài chính 2027 đề nghị Quốc hội cấp thêm 41 triệu USD để đẩy nhanh việc triển khai trên toàn quốc. Các chương trình di chuyển doanh nghiệp dựa vào CAT-2 để rút ngắn thời gian chờ kiểm tra an ninh cho các lãnh đạo bận rộn; bất kỳ sự mất lòng tin nào cũng có thể làm chậm việc phê duyệt các làn mới hoặc khiến các nhà lập pháp áp đặt thêm các rào cản về quyền riêng tư. TSA đã chấp nhận các phát hiện và cho biết kế hoạch khắc phục đang được tiến hành, nhưng hai trong ba khuyến nghị vẫn “mở và chưa được giải quyết,” theo IG. Cho đến khi các biện pháp bảo vệ vĩnh viễn được thiết lập, các chuyên gia di chuyển nên nhắc nhở nhân viên đi công tác rằng hình ảnh hộ chiếu và giấy tờ tùy thân có thể bị lưu giữ lâu hơn dự kiến trong quá trình bảo trì hệ thống ngoài giờ và nên tính đến rủi ro tồn dư này trong đánh giá bảo mật dữ liệu của công ty. Với hành khách, thông điệp đơn giản là: các điểm kiểm tra sinh trắc học vẫn nhanh và an toàn nói chung, nhưng quản lý xung quanh chúng đang dần bắt kịp công nghệ. Hãy chuẩn bị cho các quy trình kiểm toán nghiêm ngặt hơn — và có thể có gián đoạn ngắn — khi TSA khắc phục lỗ hổng trong vài tháng tới.